רמת יעד הבקרה, 1 עד 4
בקרות ברמה 1 הן הבסיסיות ביותר, ונדרשות מכל ארגון לכל נכס. בקרות ברמה 4 נדרשות רק ליעד הגנה שפוטנציאל הנזק שלו הוא 4.
תורת ההגנה בסייבר 2.0מערך הסייבר הלאומי
בקובץ הבקרות של תורת ההגנה בסייבר 2.0, לכל בקרה יש עמודת «ראיות/הוכחות ליישום הבקרה». בבקרות של גישה פריבילגית, התחברות מרחוק, ספקים, ניטור וחקירה, Syteca מספקת גם את הבקרה וגם את הראיה: הקלטה, יומן ביקורת, התראה ודוח. מה שארגוני, כמו מדיניות, ניהול סיכונים ותוכנית תגובה, נשאר אצלכם, ופירטנו גם אותו.
מעמד ותחולה
לפני המיפוי: מה המסמך, מה מעמדו ולמי הוא מיועד. כל שורה כאן לפי הנוסח באתר מערך הסייבר הלאומי ובמסמך עצמו.
«תורת ההגנה בסייבר 2.0», המדריך היישומי של מערך הסייבר הלאומי לניהול סיכוני סייבר בארגון. המסמך מיוני 2021, והוא פורסם ב-gov.il ב-19.07.2021 יחד עם קובץ בקרות (גרסה 1.3, עדכון 31.10.21).
לפי מערך הסייבר, המסמך «מהווה המלצה לכל ארגון במשק», וכלי עבודה יישומי לגורמי הסייבר בארגון, למבקרי פנים, ליועצים ולהנהלות. המסמך עצמו אינו מחייב.
מחויבים בהנחיות יה"ב, היחידה להגנת הסייבר בממשלה, שפועלת במסגרת מערך הדיגיטל הלאומי. הנחיות יה"ב מחייבות את משרדי הממשלה ויחידות הסמך, למשל הנחיה 5.19 בנושא ניהול ספקים בשרשרת האספקה.
גופים שבתוספות לחוק להסדרת הביטחון בגופים ציבוריים מחויבים בהנחיות המקצועיות שהם מקבלים לפי החוק.
ארגון שהנזק שיסב לו אירוע סייבר לא יעלה על 5 מיליון שקל. מסלול מקוצר, ובו «עשרת הדיברות»: עשר קטגוריות של בקרות בסיס.
ארגון שהנזק עשוי לעלות על 5 מיליון שקל. מסלול מלא: הערכת סיכונים, ניתוח פערים מול המלצות הגנה מקובלות ותוכנית עבודה. בטבלת הדוגמאות במסמך: עירייה, בית חולים, מוסד אקדמי, משרד ממשלתי, בית תוכנה וספק שירותי מחשוב.
הארגון, לפי פוטנציאל הנזק. לפי המסמך, חובות מחקיקה, מרגולציה או מחוזה עשויות להעביר ארגון מקטגוריה א' לקטגוריה ב', ועץ הסיווג שואל אם צד שלישי, «דוגמת רגולטור או לקוח», דורש ממנו לעמוד בדרישות קטגוריה ב'.
איך בנוי קובץ הבקרות
הבקרות מסודרות לפי חמש הפונקציות של NIST CSF: Identify, Protect, Detect, Respond ו-Recover. בקובץ יש גם מיפוי ל-ISO 27001:2013 ול-NIST CSF 1.1, וברבות מהבקרות עמודת «מקור NIST», למשל AC-17 בהתחברות מרחוק.
בקרות ברמה 1 הן הבסיסיות ביותר, ונדרשות מכל ארגון לכל נכס. בקרות ברמה 4 נדרשות רק ליעד הגנה שפוטנציאל הנזק שלו הוא 4.
בסיסית, מתפתחת, מתקדמת וחדשנית. הרמה הבסיסית מעידה לרוב על תהליך קיים שאינו מנוהל ומבוצע ידנית, והחדשנית על יישום מנוהל, מתועד, אוטומטי ויעיל.
לכל בקרה צמודה רשימת «ראיות/הוכחות ליישום הבקרה»: התיעוד שמוכיח שהבקרה מיושמת. לפי המסמך, הראיות תומכות בתהליכי ביקורת, ויכולות לשמש בסיס לאסדרה או להסמכה.
בין עשר קטגוריות הבסיס: «תיעוד וניטור», לנטר ולתעד בלוגים פעולות חריגות לתחקור עתידי, ו«אבטחת רשת», שבה ספקים ועובדים אינם מתחברים מרחוק «מתי וכיצד שהם בוחרים».
גישה פריבילגית
בקרת גישה היא משפחה 3 בקובץ. הדגשים לבקרה 3.1 מונים את PIM, PAM ו-PASM כאמצעי אבטחה מקובלים להגנה על משתמשים חזקים, ורמה 3 של בקרה 3.3 מתארת JIT PAM צעד אחר צעד.
PIM, PAM ו-PASM להגנה על משתמשים חזקים. חשבונות Break Glass «זוכים לניטור קפדני».
גילוי אוטומטי של חשבונות פריבילגיים ברשת, כספת מוצפנת עם שליפה והחלפה של סיסמאות, והקלטה של כל סשן פריבילגי.
רשימת חשבונות פריבילגיים, והקלטה לכל שימוש בהם
JIT PAM: בקשה מנומקת עם תיחום וחלון זמן, אישור של גורם מורשה, המשתמש «לא נחשף לפרטי האימות עצמם», והפעילות «מוקלטת (Session Recording) ומתועדת בלוג (Audit) ייעודי».
בקשת גישה ואישור, גישה מוגבלת בזמן וסיסמאות חד-פעמיות. מנהל החיבורים מזריק את הסיסמה מהכספת בלי לחשוף אותה, ושרת הקפיצה מקליט את הסשן.
דוח Access Request Grid: מי ביקש, מי טיפל ומתי, והקלטת הסשן
פעילות כל בעלי החשבונות החזקים מוקלטת ונשמרת חצי שנה לפחות, וחריגות מפרופיל הפעילות המותר מתועדות.
הקלטה של כל סשן פריבילגי ותקופת שמירה לכל מחשב או קבוצה. בהתקנה מקומית אפשר להעביר סשנים לארכיון. ב-SaaS של Syteca ברירת המחדל היא 30 יום, אלא אם סוכם אחרת בהסכם.
ארכיון הקלטות לתקופת השמירה, וחוקי התראה על חריגות
חשבונות עם גישה נרחבת או הרשאות גבוהות «זוכים לבקרה רציפה ומתמשכת ברמה הפרטנית».
ניטור כל סשן לפי משתמש, צפייה חיה, חוקי התראה ותגובה אוטומטית. אימות משני מחייב את מי שנכנס לחשבון משותף כמו admin להזדהות בשמו.
התראות עם הקשר הסשן, ודוח Secondary User Authentication Grid
פעולות ניהול רק דרך שרת מתווך (Jump Box), והרשאה גבוהה לזמן ולתיחום מוגדרים, בלי גישה לפרטי האימות האמיתיים.
שרת קפיצה עם מנהל החיבורים: סוכן Terminal Server אחד מקליט את כל הסשנים שעוברים דרכו, והסודות נשארים בכספת.
הקלטה של כל סשן ניהול שעבר בשרת הקפיצה
גישה מרחוק וספקים
בקרה 13.6, התחברות מרחוק, נמצאת ברמת היעד הבסיסית, 1. בין הראיות שהיא מבקשת: «ודאו כי קיימת הקלטת פעילות של המשתמש». בקרה 6.1 מוסיפה את הספקים.
הקלטת פעילות של המשתמש, וגישה לרשת הארגון דרך שרת מתווך (Jump Server).
סוכן Terminal Server על שרת הקפיצה מקליט כל סשן מרוחק שעובר דרכו: מסך, יישומים, כתובות, הקשות ופקודות.
הקלטה לכל חיבור מרחוק
כשגורם צד שלישי, כמו ספק שירות, מתחבר מרחוק, נציג מטעם הארגון צופה בפעילות כדי לאתר חריגות.
צפייה חיה בסשן בזמן אמת (במצב צילומי מסך), וחסימת המשתמש ישירות מהנגן ב-Windows.
יומן הביקורת מתעד צפייה בסשנים
מעבר ביעד הגנה ייעודי (Jump Box), ווידוא שהמשתמש לא ביצע פעולות זדוניות באמצעות הקלטה ותחקור מדגמי בדיעבד.
שרת קפיצה שמקליט, וחיפוש בכל הסשנים לפי משתמש, מחשב, זמן או כתובת IP, וגם בתוך ההקשות והפקודות.
דוח Session Viewing Status Grid: אילו סשנים נצפו ואילו לא
הפעילות מוקלטת ונשמרת, וחריגה מפרופיל הפעילות המאושר נחסמת בזמן אמת.
חוקי התראה עם תגובה אוטומטית: הודעת אזהרה, סגירת יישום (Windows ו-macOS) וחסימת המשתמש (Windows). ב-Linux יש התראה, בלי חסימה אוטומטית.
התראה מתועדת, עם קישור לרגע בהקלטה
מדיניות שרשרת האספקה מתייחסת, בין היתר, ל«אופן הגישה מרחוק של ספקים», והדגשים מבקשים נהלים לתמיכה ולשירות מרחוק בידי ספקים.
משתמש ייעודי לכל ספק, בקשת גישה ואישור, חלון זמן וסיסמה חד-פעמית. אפשר גם לדרוש מספר קריאה פתוחה ב-SysAid או ב-ServiceNow לפני כניסה ל-Windows.
ארכיון סשנים והתראות לכל ספק, וקישור להקלטה מתוך הקריאה
תיעוד וניטור
משפחות 16 ו-17 עוסקות במערך הניטור המרכזי. Syteca לא מחליפה את ה-SIEM או את מרכז הניטור, אלא מזינה אותם במה שמשתמשים עשו בפועל.
«יש ליישם מנגנון להקלטה ומעקב של פעילות המשתמשים (User Session)», לקבוע מתי מקליטים, כללי זהירות בפרטיות והרשאות גישה להקלטות. «ככלל, מומלץ לשמור את ההקלטה ל-90 ימים לפחות».
הקלטה של כל המשתמשים או של משתמשים נבחרים. רק מי שקיבל הרשאת צפייה למחשב רואה את הסשנים שלו, וכל צפייה נרשמת ביומן הביקורת.
הקלטות לאורך תקופת השמירה, ודוח Audit Session Grid
הקלטת כל פעילות המשתמשים, «וכי המשתמשים מודעים לקיומה של יכולת זו», והשוואת התנהגות המשתמש להתנהגות ההיסטורית שלו, כולל פעילות בזמנים חריגים.
הודעה לפני הכניסה עם בקשת אישור (Windows ו-Linux) ואייקון הקלטה (Windows). UEBA בונה דפוס עבודה לכל משתמש ומדרג סשנים בשעות חריגות כ-Normal, High או Critical. UEBA זמין בהתקנה מקומית ובענן הפרטי של קונסיסט, לא ב-SaaS של Syteca ולא במצב High Availability.
דוח Sessions Outside of Work Hours Grid, ודירוג UEBA לכל סשן
מנגנונים שמתריעים בזמן אמת, וחוקים לשליחת התרעות לפי הצרכים העסקיים של הארגון.
חוקי התראה מוכנים ומותאמים, שלוש רמות סיכון, מייל לנמענים שתגדירו ולוח Top Alerts.
דוח Alert Grid לכל ההתראות בתקופה
מבנה מוגדר ללוגים (דוגמת CEF), עדיפות לפורמט לוגים פתוח, ושליחת הלוגים למערך הבקרה הרציפה, שבו מתבצע הניתוח.
שליחה בזמן אמת ל-SIEM ב-Syslog, בפורמט CEF או LEEF, עם אפשרות להצפנת TLS: אירועי סשן, התראות ויומן הביקורת. באירועי הסשן וההתראות יש קישור לסשן בנגן.
אותם אירועים ב-SIEM של הארגון
שמירת לוגים בעלי ערך אבטחתי 90 ימים לפחות ברמה 1, שנה ברמה 2 ושנתיים ברמה 3. ברמה 3 גם ערך Hash לכל ארטיפקט, ובדיקת הלימה לפני אחזור.
תקופת שמירה לכל מחשב או קבוצה, וארכיון בהתקנה מקומית. מסוכני Windows אפשר לחשב Hash או לחתום בתעודה על כל צילום ורשומה (ב-SaaS רק בבקשה מ-Syteca), והנגן מסמן נתונים שנמחקו או שונו.
סימון בנגן לנתונים שאינם תקינים
חסימה לוגית של התקנים לא מורשים (דוגמת DOK), באמצעים כמו Device Control.
זיהוי וחסימה של התקני USB לא מורשים ב-Windows. ב-macOS התראה בלבד.
דוח USB Alert Grid: אילו התקנים חוברו, ואם נחסמו או הותרו
אירוע וראיות
בקרה 18.1 מבקשת שתוכנית התגובה תכלול איסוף «בהתאם לדרישות ועקרונות משפטיים» והגנה על הראיות מפני חבלה. בקרה 18.2 מבקשת מערכות לאיסוף, תיעוד ושימור של ראיות מהותיות, לפי עקרון שרשרת הראיות (Chain of Custody).
Syteca לא מנהלת את האירוע ולא קובעת אם ראיה קבילה. היא מספקת את החומר: מה המשתמש עשה, בקובץ שאפשר לאמת, ותיעוד של מי בארגון נגע בו. ההכרעה המשפטית נשארת אצל היועץ המשפטי שלכם.
מה נשאר אצלכם
רוב הבקרות בקובץ הן ארגוניות, רשתיות או פיזיות. אלה הבקרות הקרובות לנושא שלנו, ש-Syteca אינה מספקת:
שאלות נפוצות
לא מצאתם תשובה? ארכיטקט פתרונות של קונסיסט יענה, בעברית.
לא כמסמך. לפי מערך הסייבר הלאומי, היא «מהווה המלצה לכל ארגון במשק». משרדי הממשלה ויחידות הסמך מחויבים בהנחיות יה"ב, וגופים מונחים מחויבים בהנחיות המקצועיות שהם מקבלים לפי החוק להסדרת הביטחון בגופים ציבוריים. לפי המסמך, גם רגולטור או לקוח עשויים לדרוש מארגון לעמוד בדרישות קטגוריה ב'. את התחולה המדויקת אצלכם כדאי לבדוק עם היועץ המשפטי.
המסמך מאגד את הבקרות «במסגרת הדומה לזו של NIST Cyber Security Framework», בחמש פונקציות: Identify, Protect, Detect, Respond ו-Recover. בקובץ הבקרות (גרסה 1.3) יש מיפוי ל-ISO 27001:2013 ול-NIST CSF 1.1, וברבות מהבקרות גם עמודת «מקור NIST», למשל AC-17 בהתחברות מרחוק.
היא מספקת את הרכיבים הטכנולוגיים של JIT PAM שהבקרה מתארת: בקשה ואישור, גישה מוגבלת בזמן, הזרקת סיסמה מהכספת בלי לחשוף אותה, הקלטה ויומן. המדיניות, מי מוסמך לאשר, הבחינה המדגמית של הסשנים וסקירת ההרשאות הם תהליכים שלכם. Syteca לא מבטיחה עמידה בתורת ההגנה, היא מספקת את הבקרה ואת הראיה.
אין מספר אחד. בדגשים לבקרה 17.6: «ככלל, מומלץ לשמור את ההקלטה ל-90 ימים לפחות». ברמה החדשנית של בקרה 3.1, פעילות בעלי החשבונות החזקים נשמרת חצי שנה לפחות. ללוגים בעלי ערך אבטחתי, בקרה 16.3 מדרגת 90 ימים, שנה או שנתיים לפי עומק היישום. ב-Syteca בהתקנה מקומית אתם קובעים את תקופת השמירה ויכולים להעביר לארכיון. ב-SaaS של Syteca ברירת המחדל היא 30 יום, אלא אם סוכם אחרת בהסכם.
ברמה 3 של בקרה 17.6, הקלטת הפעילות מגיעה עם התנאי «שהמשתמשים מודעים לקיומה של יכולת זו», והדגשים מבקשים לקבוע כללי זהירות בנושא פרטיות המשתמשים. Syteca יכולה להציג הודעה לפני הכניסה ולדרוש אישור (Windows ו-Linux), ולהציג אייקון הקלטה (Windows). את מדיניות הניטור ואת ההודעה לעובדים קובעים עם היועץ המשפטי, ומטרתם אבטחת מידע.
לא ישירות. Web Connection Manager פותח חיבורי RDP ו-SSH מ-Edge או מ-Chrome בלי התקנה, אבל ההשקה בדפדפן אינה מוקלטת. כדי לקבל את הקלטת הפעילות שבקרה 13.6 מבקשת, מעבירים את החיבור דרך שרת קפיצה עם סוכן Syteca.
הייצוא המלא לקובץ EFE, עם המטא-נתונים, ה-hash והסיסמה, זמין במצב צילומי מסך (Interval Capture). במצב וידאו רציף (Full Motion Capture) הייצוא הוא קובץ MP4 בלי מטא-נתונים ובלי סיסמה, וגם צפייה חיה אינה זמינה בו. כשהראיות חשובות, כדאי להגדיר את המערכות הרגישות במצב צילומי מסך.
ארכיטקט פתרונות של קונסיסט יעבור איתכם על התרחישים שלכם, בעברית.
התוכן בעמוד נועד למטרות מידע ושיווק בלבד. היכולות והזמינות לפי האתר והתיעוד של Syteca, אוקטובר 2026.